NCSC waarschuwt voor actief misbruikte zero-day in veelgebruikte VPN-software

In Ivanti Connect Secure, een veelgebruikte VPN-oplossing, is een zero-day kwetsbaarheid (CVE-2026-104935) aangetroffen die aanvallers in staat stelt op afstand in te breken zonder enige inloggegevens. Ivanti kent de kwetsbaarheid een CVSS-score van 8.6 toe. Het Nationaal Cyber Security Centrum (NCSC) beoordeelt zowel de kans op misbruik als de mogelijke schade als hoog, en bevestigt dat de kwetsbaarheid al bij een beperkt aantal klanten is uitgebuit.

Voor vastgoedbeheerders en huisvestingsmanagers is dit direct relevant: VPN-software wordt vaak ingezet om op afstand toegang te krijgen tot beheersystemen voor gebouwen, toegangscontrole en facility-gerelateerde infrastructuur. Een succesvolle aanval via deze kwetsbaarheid kan dus verder reiken dan de IT-omgeving alleen. Opdrachtgevers die dergelijke diensten inkopen, doen er goed aan bij hun dienstverleners na te gaan of de betreffende software in gebruik is en of de patch al is uitgerold.

Keith Farzan, CISO bij Hoogheemraadschap De Stichtse Rijnlanden, benadrukt dat digitale weerbaarheid niet alleen een zaak van de IT-afdeling is: "Om de organisatie echt veiliger te maken en te houden, is bewustzijn van belang", zo stelt hij via Digitale Overheid. Dat bewustzijn begint bij weten welke systemen er draaien — en wie verantwoordelijk is voor het tijdig doorvoeren van updates.